X.509 客户端证书 TLS 与 Azure 服务的相互身份验证

Question

我是 TLS/HTTPS 证书流程的新手。 我们的用例是嵌入式设备（基于 yocto）需要具有客户端证书以进行双向 TLS 身份验证并访问 Azure 服务。 问题是这个身份验证（TLS 握手）逻辑是否在 yocto recipe 的 TLS 模块中完成？ 我们使用 REST API 来访问 Azure 服务。 还是因为我们不使用 Azure IoT Hub 客户端 API 而需要手动完成？

第二个问题是购买的客户端证书如何写入设备？ 如果是在工厂完成，工厂 SW 怎么知道写信到哪里？ 如果我们要轮换证书，设备在客户端后就没有工厂可以使用。 如果我们有硬件安全模块 (HSM)，我们如何推出新证书？ 写证书可以不用工厂软件吗？

Answer 1

我是 TLS/HTTPS 证书流程的新手。 我们的用例是嵌入式设备（基于 yocto）需要具有客户端证书以进行双向 TLS 身份验证并访问 Azure 服务。 问题是这个身份验证（TLS 握手）逻辑是否在 yocto recipe 的 TLS 模块中完成？ 我们使用 REST API 来访问 Azure 服务。 还是因为我们不使用 Azure IoT Hub 客户端 API 而需要手动完成？

使用 Azure SDK 让您的生活更轻松。 If you are using Azure REST API's the flow will be similar to Azure sdk usage but this time you need to do the heavy lifting. 每个 Azure 服务都有 API，您需要 go 通过相同的身份验证，注册流程也通过 REST API 进行。 例如，这里是将证书上传到 IoT HUB 的api 。

第二个问题是购买的客户端证书如何写入设备？ 如果是在工厂完成，工厂 SW 怎么知道写信到哪里？

这是在各种情况下滚动 X509 证书的链接。 我希望这将回答您与滚动证书有关的一些问题。

您可以在生产过程中安装证书。 最简单的方法是在您 flash 初始固件映像的同时在 HSM 中安装证书。 您的过程必须添加一个步骤以在每台设备上安装映像。 在此步骤之后，您可以在 package 和发货之前运行最终质量检查和任何其他步骤。 请参阅此链接。

以下是决定证书安装位置的一些因素：-

这取决于您正在构建的设备类型、预期的设备余量（您是否能够负担得起安全存储）、设备的功能以及设备上可能利用的现有安全技术。 您的选择是：

1. 在硬件安全模块 (HSM) 中（推荐）。 检查您设备的控制板是否已安装 HSM。 我与几个客户交谈过，他们惊讶地发现他们的设备中已经安装了 HSM，而他们只是没有使用，如果您知道自己没有 HSM。 与您的硬件制造商一起确定满足您需求的 HSM。
2. 在磁盘上的安全位置，例如可信执行环境 (TEE)。
3. 本地文件系统或证书存储，例如 Windows 证书存储。
4. 其他

如果我们要轮换证书，设备在客户端后就没有工厂可以使用。

它基本上取决于最初在设备上安装证书的方式，可以使用相同的流程来更新证书并再次安装它们。 检查此链接。